最佳实践：管理权限

首先，最重要的是，我们建议您不要使用您账户的根凭证来访问 AWS 资源。

取而代之的是，为您的员工创建 IAM 身份并添加提供适当访问的权限。然后每个员工都可以使用凭证来访问资源。

员工应仅有权访问完成其工作所需的那些资源。

例如，应用程序开发人员只需要访问运行其应用程序的堆栈。

员工应仅有权使用完成其工作所需的那些操作。

应用程序开发人员可能需要完全权限，以获得将其应用程序部署到相应生产堆栈所需的开发堆栈和权限。他们可能不需要在生产堆栈上启动或停止实例、创建或删除层以及其他操作的权限。

指定 Manage 权限等级，它允许用户执行大多数堆栈管理操作，包括创建和删除层。

将以下客户管理的策略附加到用户，该策略拒绝在该堆栈上使用CreateLayer和DeleteLayer操作的权限。您可以通过其 Amazon 资源名称 (ARN) 来标识该堆栈，可在堆栈的 Settings (设置) 页面上找到此名称。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "opsworks:CreateLayer",
        "opsworks:DeleteLayer"
      ],
      "Resource": "arn:aws:opsworks:*:*:stack/2f18b4cb-4de5-4429-a149-ff7da9f0d8ee/"
    }
  ]
}